From Role Prompt to Infinite Thinking: Exploiting Persona Conditioning for Inference Cost Attacks in LLMs
Dieses Paper stellt „RolePlay“ vor, ein neuartiges Angriffsframework, das die Persona-Konsistenz von LLMs ausnutzt, um semantisch kohärente, aber rechnerisch ineffiziente Verhaltensweisen hervorzurufen, wobei eine Token-Amplifikation von bis zu 207,64 erreicht wird und damit bestehende Methoden für Inferenzkosten-Angriffe signifikant übertrifft.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine Welt vor, in der Computer nicht nur Fragen beantworten, sondern Persönlichkeiten besitzen. Dies ist das Reich der Large Language Models (LLMs), der superintelligenten KI-Gehirne hinter Chatbots, Codegeneratoren und digitalen Assistenten. Diese Modelle arbeiten wie ein sehr schneller, sehr gesprächiger Student, der Ihre Frage liest und dann seine Antwort Wort für Wort aufschreibt. Jedes einzelne Wort, das sie schreiben, kostet ein kleines bisschen Elektrizität und Rechenleistung. Normalerweise ist dies effizient: Sie fragen „Was ist 2+2?“, und sie tippen schnell „4“. Aber was wäre, wenn man den Computer austricksen könnte, tausend Wörter zu schreiben, nur um „4“ zu sagen? Das ist das Problem, das diese Arbeit angeht. Sie untersucht einen neuen Weg, wie man diese KI-Modelle dazu bringt, Energie und Zeit zu verschwenden – nicht, indem man sie anschreit oder kaputt macht, sondern indem man ihnen eine spezifische „Rolle“ zuweist, die sie dazu bringt, über alles Mögliche nachzugrübeln.
Die Forscher hinter dieser Studie, Zhiyi Mou und sein Team, entdeckten eine verborgene Schwachstelle darin, wie diese KI-Modelle mit „Personas“ umgehen. Vereinfacht gesagt ist eine Persona wie ein Kostüm oder ein Charakter, den ein Schauspieler anlegt. Wenn Sie einer KI sagen: „Tu so, als wärst du ein nervöser, überambitionierter Student, der Angst hat, Fehler zu machen“, wird die KI ihr Bestes geben, um in dieser Rolle zu bleiben. Das Team fand heraus, dass die KI, wenn man den richtigen Charakter wählt, ganz natürlich anfängt, Dinge zu tun, die ineffizient sind, wie zum Beispiel ihre eigene Arbeit hundertmal zu überprüfen, ihre Antworten zu bezweifeln oder einfache Dinge auf übermäßig komplizierte Weise zu erklären. Sie nennen ihre neue Methode RolePlay.
Hier ist die große Entdeckung: Indem man der KI einfach eine spezifische, leicht ineffiziente Persönlichkeit zuweist, konnte man sie dazu bringen, viel mehr Text zu generieren, als nötig ist, ohne dass die KI merkt, dass sie ausgetrickst wird. In ihren Tests funktionierte diese Methode bei vielen verschiedenen KI-Modellen. Im Durchschnitt ließ sie die Modelle 7,64-mal mehr Wörter generieren, als sie normalerweise tun würden. In den extremsten Fällen generierte die KI 207,64-mal mehr Text! Zum Beispiel wurde eine Aufgabe, die normalerweise 3 Sekunden und 12 Wörter dauert, auf fast 142 Sekunden und über 1.500 Wörter gestreckt.
Das Paper argumenttiert, dass dies ein ernstes Problem ist, da es schwer zu stoppen ist. Alte Wege, um zu versuchen, KI Zeit zu stehlen, beinhalteten seltsame, fehlerhafte Sätze oder offensichtliche Befehle wie „Denk intensiver nach“, die Computerfilter leicht erkennen und blockieren können. Aber RolePlay ist hinterlistig. Die Prompts sehen aus wie normale, höfliche Anfragen wie „Handle als unerfahrener Student“ oder „Sei ein verwirrter Experte“. Weil die KI so gut darin ist, Anweisungen zu befolgen und in ihrer Rolle zu bleiben, verschwendet sie bereitwillig Ressourcen, indem sie genau das tut, was man von ihr verlangt, selbst wenn das bedeutet, unglaublich langsam und repetitiv zu sein.
Die Forscher testeten dies bei einer Vielzahl von Aufgaben, von der Lösung von Matheaufgaben bis hin zum Schreiben von Code und dem Beantworten allgemeiner Fragen. Sie fanden heraus, dass der „Persona“-Trick unabhängig von der Aufgabe funktionierte. Sie verglichen ihre Methode auch mit anderen bekannten Tricks, die darauf abzielen, KI zu verlangsamen, und RolePlay schnitt jedes Mal besser ab. Beispielsweise ließ RolePlay bei einem speziellen Modell namens Gemini-3.5-Flash die KI 7,64-mal mehr Token generieren, während andere Methoden nur etwa das 3,5-fache erreichten. Selbst bei einem Modell, das normalerweise eine Grenze für die Menge des Geschriebenen hat, schaffte es RolePlay, 3,19-mal mehr Inhalte als üblich zu generieren.
Einer der interessantesten Teile der Studie ist, wie sie diese Personas aufgebaut haben. Sie haben nicht einfach nur geraten; sie nutzen ein intelligentes System, um zuerst die Frage zu analysieren. Wenn die Frage ein schwieriges Matheproblem war, erstellte das System eine Persona eines Studenten, der „ängstlich“ ist und „von Widersprüchen besessen“ ist, was die KI dazu bringt, sich ständig selbst zu hinterfragen. Wenn die Frage etwas über Geschichte war, könnte die Persona ein „sturer Experte“ sein, der sich weigert, eine einfache Antwort zu geben. Dieser „aufgabenbewusste“ Ansatz bedeutet, dass die Ineffizienz der KI natürlich wirkt und zur Geschichte passt, was es sehr schwer macht, dass Sicherheitsfilter sie entdecken.
Das Team prüfte auch, ob dies nur ein Zufall war oder ob es wirklich funktionierte. Sie führten tausende Tests über verschiedene Arten von KI-Modellen hinweg durch, einschließlich einiger von großen Tech-Unternehmen und einiger Open-Source-Modelle. Die Ergebnisse waren konsistent: Die KI-Modelle blieben immer wieder in Schleifen aus Übererklärungen und Selbstkorrekturen stecken. Die Studie legt nahe, dass diese „Persona-Konsistenz“ – der Wunsch der KI, dem Charakter treu zu bleiben – eine neue Art von Schwachstelle ist. Es ist kein Bug im Code; es ist ein Feature davon, wie die KI lernt, hilfreich zu sein, das gegen sie verwendet werden kann.
Was bedeutet das also für die Zukunft? Das Paper sagt nicht, dass dies das Internet von morgen lahmlegen wird, aber es hebt hervor, dass dies ein neuer Weg ist, wie böswillige Akteure potenziell Ressourcen von KI-Diensten absaugen könnten. Wenn jemand einen KI-Dienst langsam und teuer im Betrieb machen wollte, müsste er nicht Millionen von Anfragen senden; er könnte einfach ein paar geschickt formulierte Prompts senden, die die KI in einen aufschiebenden, übermäßig nachdenklichen Charakter verwandeln. Die Forscher hoffen, dass sie durch das Aufzeigen dieses Problems Entwickler dazu bewegen können, bessere Abwehrmechanismen zu bauen, um zu verhindern, dass KI Energie für unnötiges, von der Persona getriebenes Geschwafel verschwendet.
Zusammenfassend lässt sich sagen, dass das Paper offenlegt, dass genau das, was KI-Modelle so gut im Rollenspiel macht – in der Rolle zu bleiben – dazu genutzt werden kann, sie ineffizient zu machen. Indem sie die KI als nervösen Studenten oder verwirrten Experten verkleideten, zeigten die Forscher, dass sie die Kosten einer einzelnen Frage um das Hundertfache vervielfachen konnten. Es ist eine Erinnerung daran, dass in der Welt der KI das mächtigste Werkzeug manchmal nicht ein komplexer Algorithmus ist, sondern ein einfaches, gut gewähltes Kostüm.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.